El malware de sabotaje recientemente descifrado puede haber dirigido el programa nuclear de Irán y es anterior a Stuxnet

En cambio, Kamluk vio que se trataba de una pieza de código autopropagada con intenciones muy distintas. Utilizando lo que se conocía dentro del código como funcionalidad "wormlet", Fast16 está diseñado para copiarse a otros ordenadores de la red mediante la función de compartición de red de Windows. Comprueba si hay una lista de aplicaciones de seguridad y, en su defecto, instala el controlador del núcleo Fast16.sys en la máquina de destino.

A continuación, este controlador del núcleo lee el código de las aplicaciones a medida que se cargan en la memoria del ordenador, supervisando una larga lista de patrones específicos: "reglas" que le permiten identificar cuándo se está ejecutando una aplicación de destino. Cuando detecta el software objetivo, realiza su objetivo aparente: alterar en silencio los cálculos que se ejecuta el software para corromper imperceptiblemente sus resultados.

"Esto tenía una carga útil muy importante en el interior, y casi todos los que le habían mirado antes se lo habían perdido", dice Costin Raiu, investigador de la consultora de seguridad TLP:Black, que anteriormente dirigió al equipo que incluía a Kamluk y Guerrero-Saade en que la empresa de seguridad rusa Kasper relacionado. "Esto está diseñado para ser un sabotaje muy sutil ya largo plazo que probablemente sería muy difícil de notar".

Buscando software que cumplía los criterios de las "reglas" de Fast16 para un objetivo de sabotaje previsto, Kamluk y Guerrero-Saade encontraron a sus tres candidatos: el software MOHID, PKPM y LS-DYNA. En cuanto a la función "gusano", creen que el mecanismo de propagación se diseñó de forma que cuando una víctima revisa sus resultados de cálculo o simulación con un ordenador diferente en el mismo laboratorio, esta máquina también confirmará el resultado erróneo, haciendo que el engaño sea aún más difícil de descubrir o entender.

En cuanto a otras operaciones de cibersabotaje, sólo Stuxnet es remotamente en la misma clase que Fast16, argumenta Guerrero-Saade. La complejidad y sofisticación del software malicioso también lo colocan en el reino de la piratería de alta prioridad y recursos patrocinados por el estado de Stuxnet. "Hay pocos escenarios en los que pasas por este tipo de esfuerzo de desarrollo para una operación encubierta", dice Guerrero-Saade. "Alguien doblegó un paradigma para frenar, dañar o eliminar un proceso que consideraba de importancia crítica".

La hipótesis de Irán

Todo esto se ajusta a la hipótesis de que Fast16 podría, como Stuxnet, haber sido dirigido a interrumpir las ambiciones de Irán de construir un arma nuclear. TLP: Black's Raiu argumenta que, más allá de una mera posibilidad, apuntar a Irán representa la explicación más probable: una teoría de "confianza media-alta" que Fast16 fue "diseñado como un paquete de ataque cibernético" dirigido al proyecto nuclear AMAD de Irán, un plan del régimen del ayasin 2000.

"Esta es otra dimensión de los ciberataques, otra forma de hacer esta ciberguerra contra el programa nuclear de Irán", dice Raiu.

De hecho, Guerrero-Saade y Kamluk señalan un artículo publicado por el Instituto de Ciencia y Seguridad Internacional, que recopilaba pruebas públicas de científicos iraníes que realizan investigaciones que podrían contribuir al desarrollo de un arma nuclear. En varios de estos casos documentados, la investigación de los científicos utilizó el software LS-DYNA que Guerrero-Saade y Kamluk encontraron que era un objetivo potencial Fast16.